Contraseñas Seguras en la Empresa: Cómo Crearlas y Gestionarlas

Las contraseñas débiles o repetidas siguen siendo una de las causas más comunes de los incidentes que veo en pymes. La buena noticia: arreglarlo es barato y no requiere ser experto.

Por qué las contraseñas siguen siendo el punto débil

Cada año se filtran miles de millones de credenciales en brechas de seguridad de todo tipo de servicios. Los atacantes recopilan esas listas y prueban automáticamente las mismas combinaciones de correo y contraseña en otros servicios. Si usas la misma contraseña en una tienda online y en el correo de tu empresa, una filtración en la tienda abre la puerta a tu correo.

Es lo que se llama credential stuffing, y funciona precisamente porque reutilizamos contraseñas.

Qué hace que una contraseña sea segura

Las recomendaciones han cambiado en los últimos años. Las guías del NIST (el instituto de estándares de EE. UU., referencia internacional en esto) priorizan hoy:

Longitud antes que complejidad: una contraseña larga es mucho más difícil de romper que una corta llena de símbolos.
Que sea única: una contraseña distinta para cada servicio.
Que no esté filtrada: comprobar que no aparece en listas de contraseñas comprometidas.
No obligar a cambiarla cada mes sin motivo: los cambios forzados provocan contraseñas predecibles (Verano2025, Verano2026…). Se cambia cuando hay sospecha de que se ha comprometido.

Cómo crear una contraseña larga y fácil de recordar

La técnica más práctica es la frase de contraseña: varias palabras sin relación entre sí, por ejemplo tortuga-semáforo-limonada-Teruel. Es larga, fácil de recordar y muy difícil de adivinar. Evita frases famosas, letras de canciones o datos personales (nombres de hijos, mascotas, fechas de nacimiento o el nombre de la empresa).

Aun así, nadie puede recordar 50 frases distintas. Por eso existe el gestor de contraseñas.

Gestor de contraseñas: la herramienta imprescindible

Un gestor de contraseñas es una aplicación que guarda todas tus contraseñas cifradas. Solo tienes que recordar una contraseña maestra (larga y protegida con doble factor). El gestor:

Genera contraseñas largas y aleatorias para cada servicio.
Las rellena automáticamente, solo en la web correcta (lo que además te protege del phishing: si la web es falsa, el gestor no rellena nada).
Te avisa si alguna contraseña está repetida, es débil o ha aparecido en una filtración.
En la versión para empresas, permite compartir accesos entre empleados sin enviarlos por WhatsApp o correo, y retirarlos cuando alguien se va.

Hay opciones de código abierto como Bitwarden o KeePassXC y opciones comerciales como 1Password. Lo importante no es cuál eliges, sino que toda la empresa lo use.

Errores habituales que veo en pymes

Contraseñas en un Excel o en un pósit pegado al monitor.
Cuentas compartidas: todo el equipo entra con el mismo usuario y nadie sabe quién hizo qué.
Contraseñas por defecto en el router, las cámaras, la impresora o el TPV.
No retirar accesos cuando un empleado o un proveedor deja de trabajar con la empresa.
Enviar contraseñas por correo o WhatsApp, donde quedan guardadas para siempre.

Cómo saber si tus contraseñas se han filtrado

Puedes comprobar si tu dirección de correo aparece en brechas conocidas en haveibeenpwned.com, un servicio gratuito y reconocido. Si aparece, cambia la contraseña de ese servicio y de cualquier otro donde la hayas reutilizado. Para una empresa, lo recomendable es vigilar de forma continua todo el dominio, algo que incluyo en la monitorización mensual.

El paso que lo cambia todo: el doble factor

Incluso la mejor contraseña puede robarse con un buen phishing. Por eso, la medida que más protege tus cuentas es activar la verificación en dos pasos (MFA): aunque alguien tenga tu contraseña, no podrá entrar sin el segundo factor.

Plan de acción en 5 pasos

Elige un gestor de contraseñas para la empresa.
Crea una contraseña maestra larga y activa el doble factor en el gestor.
Cambia primero las contraseñas críticas: correo, banca, dominio y web, y redes sociales.
Cambia las contraseñas por defecto del router, la Wi-Fi y los dispositivos.
Activa la verificación en dos pasos en todo lo que la permita.

Preguntas frecuentes

¿Cuántos caracteres debe tener una contraseña segura?

Cuanto más larga, mejor. Como referencia práctica, al menos 12–16 caracteres, y para la contraseña maestra del gestor, una frase de cuatro o más palabras sin relación entre sí.

¿Es seguro usar un gestor de contraseñas?

Sí. Un gestor reconocido cifra tus contraseñas y es mucho más seguro que reutilizarlas o guardarlas en un documento. Protege siempre la contraseña maestra con verificación en dos pasos.

¿Hay que cambiar las contraseñas cada pocos meses?

No es necesario si son largas, únicas y no se han filtrado. Lo importante es cambiarlas en cuanto haya sospecha de que se han comprometido.

Contraseñas seguras en la empresa: cómo crearlas y gestionarlas